[發明專利]遠程證明方法、裝置，系統及計算機存儲介質

有效

• 申請號: 201911097193.6
• 申請日: 2019-11-11
• 公開（公告）號: CN112787988B
• 公開（公告）日: 2023-06-02
• 發明（設計）人: 王健;夏靚
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/1001
• 代理公司: 北京三高永信知識產權代理有限責任公司 11138
• 代理人: 顏晶

本申請公開了一種遠程證明方法，應用于遠程證明系統，所述遠程證明系統包括多個RA服務器以及多個網絡設備，所述方法由所述多個網絡設備中的任一網絡設備執行。在該所述方法中，所述網絡設備獲取所述網絡設備中的度量對象的完整性度量值，將所述度量對象的完整性度量值發送至所述多個RA服務器中的至少一個RA服務器，以便所述至少一個RA服務器對所述網絡設備中的度量對象的完整性執行遠程證明。該遠程證明方案可以克服封閉式的遠程證明系統，因其網絡流量和計算資源，證明能力等瓶頸因素，無法對大規模場景下的大量設備中的度量對象的完整性的進行證明問題。

技術領域

本申請涉及路由技術領域，特別涉及一種遠程證明方法、裝置，系統及計算機存儲介質。

背景技術

軟件是產品的重要組成部分，保護軟件的完整性是構筑網絡安全保障體系的重要保障。遠程證明是當前保護完整性的必備消減措施。目前的遠程證明方案中，按照TCG(Trusted?Computing?Group)標準要求，網絡設備的啟動階段，網絡設備逐級計算BIOS、OS、APP的度量值，將其擴展至TPM芯片。遠程證明服務器(Remote?Attestation服務器，下文中簡稱RA服務器)向網絡設備發送完整性挑戰請求，網絡設備的遠程證明客戶端(RemoteAttestation?Client，下文中簡稱RA客戶端)將所需度量值上送至RA服務器，在RA服務器中完成度量值的校驗，以此來判斷設備軟件是否被篡改從而檢查其完整性。

當前方案中的遠程證明系統為封閉式系統，僅部署單臺RA服務器，網絡設備中的各部件，如硬件、BIOS、OS、APP，由同一廠商提供，因此該同一廠商的各度量對象的完整性度量值集中上送至該RA服務器，由該RA服務器集中統一進行完整性的遠程證明。這種封閉式集中統一的遠程證明系統，因其網絡流量和計算資源成為瓶頸等因素，無法對大規模場景下大量設備中的度量對象的完整性的進行證明問題。

發明內容

本申請實施例提供了一種遠程證明方法、裝置、系統、以及計算機存儲介質，可以為開放性跨廠商場景下提供完整性可靠證明。這些實施例包括如下：

第一方面，提供了一種遠程證明方法，應用于遠程證明系統。所述遠程證明系統包括多個遠程證明RA服務器以及多個網絡設備，所述方法由所述多個網絡設備中的任一網絡設備執行。在該方法中，所述網絡設備獲取所述網絡設備中的度量對象的完整性度量值。所述網絡設備將所述度量對象的完整性度量值發送至所述多個RA服務器中的至少一個RA服務器，以便所述至少一個RA服務器對所述網絡設備中的度量對象的完整性執行遠程證明。

通過本實施例中的遠程證明方法，遠程證明系統中部署了多個網絡設備，其中的任一網絡設備可以將其度量對象的完整性度量值發送給對應的RA服務器進行度量對象完整性證明。從而可以克服封閉式的遠程證明系統，因其網絡流量和計算資源，證明能力等瓶頸因素，無法對大規模場景下大量設備中的度量對象的完整性的進行證明問題。

可選的，所述多個RA服務器中包括多個第一RA服務器和一個主RA服務器。所述方法進一步包括：所述網絡設備接收所述多個第一RA服務器中的至少一個第一RA服務器發送的完整性挑戰請求。所述網絡設備響應于所述完整性挑戰請求，獲取所述網絡設備中的度量對象的完整性度量值，將所述度量對象的完整性度量值發送至所述多個第一RA服務器中的至少一個第一RA服務器。

通過本實施方式，根據RA服務器的安排，如周期性或其他事件觸發，向網絡設備發送完整性挑戰請求，接收網絡設備發送的度量對象的完整性度量值，執行完整性證明，可以提高遠程證明的可預期性和穩定性。